ISO 27001 : j'ai lu la norme cinq fois. Puis j'ai essayé de la mettre en œuvre.

Histoire vraie.

Un homme que j'ai formé l'automne dernier était responsable de la sécurité dans une entreprise de taille intermédiaire aux Pays-Bas. Rigoureux. Intelligent. Titulaire de la certification Foundation. Il avait lu ISO 27001 de bout en bout. Plusieurs fois. Il savait expliquer ce qu'exige la clause 6. Il pouvait citer de mémoire les quatre catégories de contrôles de l'Annexe A. Il dessinait le cycle Plan-Do-Check-Act au tableau blanc les yeux fermés.

Son entreprise a décidé de se faire certifier. Son manager lui a dit : « Tu connais la norme. C'est toi qui pilotes. »

Et là, assis à son bureau un lundi matin, il a réalisé qu'il n'avait absolument aucune idée de par où commencer.

Non pas parce qu'il était incompétent. Parce que la norme ne lui avait jamais dit comment faire. Elle lui indiquait ce qui devait exister. Elle ne lui expliquait pas comment construire quoi que ce soit.

Trois mois plus tard, il n'était toujours pas certain que son périmètre était correct. La méthodologie d'appréciation des risques avait été réécrite deux fois parce que personne ne s'accordait sur ce que signifiait « probable ». La déclaration d'applicabilité était à moitié remplie et il n'avait confiance en aucune de ses entrées. Il avait avancé, mais d'une avance dont on ne sait pas si elle va dans la bonne direction.

Quand il est arrivé dans ma formation, il travaillait dessus depuis près d'un an. Pas parce que le travail était trop difficile. Parce qu'il le faisait sans méthodologie.

Si une partie de cela vous est familière, cet article est pour vous.

La norme n'est pas un manuel d'instructions. Elle n'a jamais été conçue pour l'être.

Voici ce que personne ne dit à voix haute : ISO 27001 est délibérément incomplète.

Ce n'est pas une critique. C'est la conception. La norme doit fonctionner pour une startup de cinq personnes comme pour une banque de cinquante mille employés. Elle doit s'appliquer à tous les secteurs, toutes les juridictions, toutes les architectures techniques. La seule façon d'y parvenir est de spécifier ce qui doit exister sans préciser comment le construire. Cette généralité fait sa force. C'est aussi ce qui la rend inutilisable comme guide pas à pas.

« L'organisation doit déterminer les enjeux internes et externes pertinents par rapport à sa finalité. » Comment ? Atelier ? PESTLE ? Entretiens ? Schéma griffonné autour d'un café ? La norme ne le dit pas, parce que la réponse dépend du fait que vous êtes un hôpital, une entreprise SaaS ou un cabinet d'avocats.

« L'organisation doit définir et appliquer un processus d'appréciation des risques de sécurité de l'information. » Très bien. Mais à quoi ressemble ce processus ? Quelle méthodologie ? Quelles échelles ? Comment calibrer pour que le mot « élevé » signifie la même chose pour le service juridique et l'équipe SOC ? La norme ne le dit pas.

« L'organisation doit produire une déclaration d'applicabilité. » Soit. Mais qu'est-ce qui fait une bonne déclaration d'applicabilité ? Quel niveau de détail pour les justifications ? Qu'est-ce qui constitue une preuve de mise en œuvre ? Une politique suffit-elle, ou l'auditeur veut-il des journaux ? La norme ne le précise absolument pas.

Les personnes qui comprennent la norme mais ne savent pas la mettre en œuvre ne manquent pas d'intelligence. Il leur manque une méthodologie. Ce n'est pas un échec de la personne. C'est un vide que la norme n'a jamais été conçue à combler.

Cinq décisions que la norme vous laisse entièrement à gérer

J'ai mis en œuvre ISO 27001 dans plus d'une centaine d'organisations. Ces cinq décisions sont celles où chaque implémentation trouve ses repères ou perd des mois.

Comment définir le périmètre. La plupart des gens pensent que définir le périmètre est simple. On détermine ce qui est inclus, ce qui est exclu, et on avance. Puis ils passent trois mois à en débattre. L'environnement de développement doit-il être dans le périmètre ? Et cette filiale qui partage le même Active Directory ? Et l'équipe de support externalisée qui accède aux données de production ? Chaque décision de périmètre a des conséquences en cascade sur les risques, les contrôles et l'audit. La norme dit « déterminer le périmètre ». Elle ne vous explique pas comment naviguer ces arbitrages, ni comment rédiger un périmètre qu'un auditeur acceptera en trente secondes plutôt que de passer deux heures à le décortiquer.

Comment apprécier les risques. C'est là que le plus de temps se perd. Non pas à réaliser l'appréciation, mais à concevoir la méthodologie. J'ai examiné des registres de risques où toute la colonne vraisemblance indique « moyen ». Où la colonne impact a cinq niveaux mais personne ne sait expliquer la différence entre un trois et un quatre. Où le même risque est coté différemment par deux équipes assises dans des bureaux adjacents parce que personne n'a calibré les échelles. La norme dit « appliquer un processus d'appréciation des risques ». Elle ne vous dit pas comment construire une méthodologie reproductible, défendable, qui ne s'effondre pas dès que l'auditeur demande « pourquoi c'est un trois et pas un quatre ? »

Comment rédiger la déclaration d'applicabilité. La déclaration d'applicabilité est le document le plus important de votre SMSI et celui qui est le plus souvent raté. J'en ai examiné où chaque contrôle est marqué « mis en œuvre » sans aucune preuve. Où la colonne justification indique « voir politique » pour quatre-vingt-treize lignes. Où les propriétés du document montrent qu'il a été modifié pour la dernière fois par quelqu'un d'une entreprise totalement différente, parce qu'il a été téléchargé sur internet et que les noms n'ont jamais été changés. L'auditeur lit votre déclaration d'applicabilité en premier. Si elle s'effondre, rien d'autre ne vous sauve.

Comment engager la direction. La clause 5 stipule que la direction doit démontrer son leadership et son engagement. En pratique, cela signifie que vous devez convaincre votre comité de direction d'allouer un budget, d'assister aux revues de direction et de valider les décisions d'acceptation des risques. La norme dit « la direction doit ». Elle ne vous dit pas comment entrer dans une réunion de conseil d'administration et expliquer pourquoi l'entreprise doit dépenser de l'argent pour quelque chose dont le ROI n'est pas visible tant que rien ne tourne mal. C'est un problème de communication, pas un problème de sécurité, et la plupart des implémentations échouent ici, pas au niveau technique.

Comment se préparer à l'audit. L'étape 1 est la revue documentaire. L'étape 2 est la vérification des preuves opérationnelles. La plupart des gens se préparent pour l'une et paniquent face à l'autre. Ils produisent de beaux documents et ne peuvent pas démontrer que les contrôles fonctionnent réellement. Ou ils ont des contrôles opérationnels et ne peuvent pas produire la trace de preuves. La norme dit « se préparer à l'audit de certification ». Elle ne vous dit pas ce que l'auditeur ouvre en premier, quelles questions arrivent dans la première heure, ni ce qui fait trébucher les gens à chaque fois. Je le sais, parce que j'ai été des deux côtés de la table.

Ce que signifie concrètement une méthodologie

Quand je dis que cette formation vous enseigne la méthodologie, je ne veux pas dire que vous recevez une checklist. Je veux dire que vous apprenez le système d'exploitation qui se trouve derrière la norme.

Une méthodologie vous dit quoi faire en premier, et pourquoi. Elle vous explique comment animer l'atelier de définition du périmètre pour que cela prenne une journée, pas un trimestre. Elle vous donne un cadre d'appréciation des risques que vous pouvez défendre, pas seulement remplir. Elle vous montre à quoi ressemble une bonne déclaration d'applicabilité et ce qui rend une mauvaise évidente. Elle vous apprend à présenter la sécurité à une direction qui ne s'y intéresse pas, dans un langage qui la pousse à s'y intéresser. Et elle vous dit ce que l'auditeur va faire, dans quel ordre, pour que vous puissiez vous y préparer au lieu de le subir.

C'est la différence entre connaître la norme et être capable de la mettre en œuvre. Et c'est la différence entre un projet de six mois qui réussit et un projet de douze mois qui produit une armoire pleine de documents que personne n'utilise.

C'est à cela que servent les 5 jours

Du 17 au 21 août. Du lundi au vendredi. En ligne, en direct, en anglais. Un groupe limité à six participants, parce qu'à sept la conversation se perd et les exercices deviennent artificiels.

Chaque ligne de ce tableau commence par « comment ». C'est délibéré. Le « quoi » est dans la norme. Vous pouvez la lire gratuitement. Le « comment », c'est ce pour quoi vous payez.

Qui enseigne cette formation

Moi. Christophe Mazzola. CISO en exercice, fondateur de Cyber Academy, PECB Gold Trainer.

Je n'enseigne pas la mise en œuvre à partir d'un manuel. Je l'enseigne depuis le terrain. Quand j'explique une méthodologie d'appréciation des risques, c'est parce que j'ai construit des référentiels de risques et que je me suis ensuite retrouvé face à un auditeur qui cherchait à les démonter. Quand j'explique comment obtenir l'adhésion de la direction, c'est parce que j'ai été devant des conseils d'administration qui ne voulaient pas entendre parler de sécurité et que j'ai trouvé comment les faire écouter. Quand quelqu'un dans la formation dit « ma déclaration d'applicabilité est un désastre », je ne lui donne pas la réponse de l'examen. Je lui dis ce que je ferais si j'étais assis à son bureau lundi matin, parce que j'y ai été.

Deux cents audits. Une centaine d'implémentations. Les exemples concrets de cette formation sont les miens. Cela compte, parce que l'écart entre la norme et la réalité n'est pas théorique. Il est opérationnel. Et on apprend à le combler auprès de quelqu'un qui le comble au quotidien.

La garantie

Suivez la formation. Passez l'examen. Si vous ne réussissez pas, nous vous remboursons vos frais de formation.

Aucune condition cachée au-delà de suivre le programme et de passer l'examen. Nous appelons cela Certified or Refunded, et nous le pensons. La méthodologie fonctionne. Le taux de réussite le prouve. Et si vous investissez une semaine de votre temps et l'argent de votre entreprise, vous méritez un prestataire qui mise sur le même résultat que vous.

Les détails

• Formation : ISO/IEC 27001:2022 Lead Implementer, PECB Certified
• Dates : 17–21 août 2026
• Format : En ligne, en direct. Interactif. Non enregistré.
• Langue : Anglais
• Taille du groupe : 3 à 6 participants
• Examen : Examen PECB de 3 heures le jour 5, livre ouvert
• Supports : 450+ pages incluses
• CPD : 31 crédits
• Rattrapage gratuit : Dans les 12 mois
• Tarif : 2 499 €
• Garantie : Certified or Refunded

À vous de jouer

Si vous avez lu la norme et que vous ne savez toujours pas quoi faire lundi matin, c'est la formation qui comble cet écart.

Si on vous a confié un projet d'implémentation et que vous cherchez « modèle appréciation des risques ISO 27001 » à minuit sur Google, cette formation vous donne la méthodologie pour ne plus jamais avoir à le faire.

Si vous êtes consultant et que vos clients attendent de vous que vous piloiez cela de bout en bout, c'est ici que vous arrêtez d'improviser et que vous commencez à maîtriser.

Si vous en êtes à huit mois d'un projet qui aurait dû en prendre quatre, c'est votre remise à zéro en cinq jours.

Réservez votre place ci-dessous.

Des questions ? Écrivez-moi directement. Pas d'équipe commerciale. Pas de chatbot. Juste moi.

Christophe Fondateur & Formateur, Cyber Academy | Become the Code Father cyberacademy.net